TunnelCrack د TunnelVision په وړاندې: هر یو په حقیقت کې څه ماتوي
TunnelCrack او TunnelVision بېلابېل د لارښوونې استثناوې ناوړه ګټه اخلي: د سیمهای شبکې استثنا، د سرور لاره او د هر کلاینټ جوړښت لپاره د DHCP 121 انتخاب وګورئ۔
دوه څېړنیز نومونه د تونل څخه وتونکي هر VPN ترافیک لپاره یو د بل پر ځای کارول کیږي، خو هغه میکانیزمونه چې د دوی شاته دي یو شان نه دي۔ TunnelCrack د لارښوونې استثناوو دوه کورنۍ بیانوي؛ TunnelVision هغه لاره بیانوي چې DHCP په پای دستګاه کې برابروي۔ هیڅ یو یې کوډګري نه ماتوي، او هیڅ یو یې تاسو ته نه وایي چې نن یو ځانګړی کلاینټ جوړښت څه کوي۔ پنځه کتنې میکانیزمونه له سرلیک څخه بېلوي۔
لومړی ګام: هغه میکانیزم ونوموئ چې کتنه یې کوئ
د 2023 اګست TunnelCrack افشا د برید دوه کورنۍ بیانوي۔ د سیمهای شبکې په حالت کې، هغه ترافیک چې کلاینټ یې د سیمهای شبکې برخه ګڼي د سیمهای لاسرسي استثنا اخلي او له تونل څخه وځي۔ د سرور پتې په حالت کې، هغه لاره چې کلاینټ ته د VPN سرور خپل ځان ته د رسېدو لپاره اړینه ده د تونل څخه بهر ده، او هغه مخالف چې دا پته کنټرولوي کولای شي له دې استثنا څخه ګټه پورته کړي۔
TunnelVision د DHCP لخوا برابرول شوو بېطبقې سټاتیک لارو په اړه جلا راپور دی۔ یو زیانرسونکی DHCP سرور کولای شي پای دستګاه ته داسې لارې ورکړي چې د ترافیک لار بدلوي، په شمول د VPN سرور په لور لاره۔ راپور د اړوندو لارښوونې اغېزو په اړه پخوانی کار مني، کوم چې یادونه کوي چې بنسټیز میکانیزم له نوم څخه زوړ دی۔
| Case | Exception it abuses |
|---|---|
| TunnelCrack local network | Traffic classified as local bypasses the tunnel |
| TunnelCrack server address | The route to the VPN server sits outside the tunnel |
| TunnelVision | DHCP option 121 installs routes that redirect traffic |
نومونه خپلو میکانیزمونو ته تړلي وساتئ۔ د بل لپاره د دې له کبله چې هغه بل په خبرونو کې دی یو سمون پلي کول هغه لار ده چې کتنه پرته له پوښښه خوځښت تولیدوي۔
دوهم ګام: سیمهای لاسرسي استثنا وګورئ
ډېری کلاینټونه د سیمهای شبکې ترافیک معاف کوي تر څو چې تونل روان وي چاپېرونکي، د پردې خپرول او د فایل شریکول کار وکړي۔ دا استثنا د خوندیتوب لګښت لرونکې تګلاره ده: په همدې شبکه کې مخالف کولای شي ځان د سیمهای کوربه په توګه وړاندې کړي، او هغه ترافیک چې هغه ته رسېږي هېڅکله تونل ته نه دی ننوتلی۔
وپوښتئ چې ایا ځای پر ځای شوی پروفایل په بشپړه توګه دې استثنا ته اړتیا لري۔ هغه لرې کارکوونکي ډله چې هېڅکله سیمهای کشف نه کاروي ډېری وخت کولای شي دا بند کړي، او پاتې سیمهای خدمتونه د مستندې لارې له مخې ترلاسه کېدای شي۔ چېرې چې استثنا اړینه ده، ووایاست چې کوم مقصدونه پوښي پرځای د دې چې د سیمهای ترافیک په توګه یې یاد کړئ۔
کتنه د کنفیګوریشن پوښتنه ده، نه د بنډل نیول۔ هغه پروفایل ترتیب او کلاینټ اسناد ولولئ چې د هغه جوړښت لپاره دي چې تاسو یې ځای پر ځای کوئ، ځکه چې اصلي ارزښت د محصولاتو ترمنځ او د یو محصول د نسخو ترمنځ توپیر لري۔ ځواب د پروفایل ترڅنګ ولیکئ، تر څو بل کتونکی یې له چلند څخه اټکل نه کړي۔ هغه استثنا چې هیڅوک مستنده نه کړې هغه استثنا ده چې هیڅوک یې کتنه نه کوي۔
دریم ګام: وګورئ چې د سرور پته څنګه زده کیږي
کلاینټ باید له هر تونل څخه مخکې VPN سرور ته ورسېږي، نو هغه مقصد د ډیزاین له مخې له تونل څخه بهر لارښوونه کیږي۔ که پته له یو نوم څخه زده شي، د حل ګام د باور لارې برخه ده، او هغه مخالف چې دې پوښتنې ته ځواب ویلای شي کولای شي کلاینټ هغه کوربه ته واستوي چې هغه یې کنټرولوي۔
د پتې ټینګول، د سم نوم سره تصدیق شوی سند کارول او له تصدیق نه شوي سرور ته د بېرته لوېدو انکار ټول زیان کموي۔ هیڅ یو یې له تونل څخه بهر سرور ته د رسېدو اړتیا نه لیرې کوي؛ دوی بدلوي چې څوک د دې پتې لپاره ځواب ویلای شي۔
resolvectl query vpn.lab.example
ip route get 198.51.100.24
ip rule showد لارې لټون هغه انټرفیس ښیي چې کلاینټ به د سرور پتې لپاره کاروي، او دا د استثنا ټینګه بڼه ده۔ که هغه لټون د تونل انټرفیس بېرته راوړي، کلاینټ په بشپړه توګه تونل نه شي جوړولای، نو بهرنۍ لاره تمه کیږي او پوښتنه یوازې دا ده چې د هغې مقصد څنګه غوره کیږي۔
څلورم ګام: هغه لارې وګورئ چې DHCP برابروي
بېطبقې سټاتیک لارې DHCP سرور ته اجازه ورکوي چې د لارښوونې جدول ثبتونه ووېشي، او پای دستګاه معمولاً پرته له پوښتنې هغه مني۔ په هغه شبکه کې چې مخالف کولای شي له قانوني سرور څخه ژرتر ژره DHCP ته ځواب ووايي، هغه ثبتونه کولای شي هغه ترافیک بلې لارې ته اړوي چې کارونکی یې د تونل دننه ګڼي۔
په پای دستګاه کې لارې له هغو لارو سره پرتله کړئ چې تمه یې لرئ۔ د تونل د روانېدو پر مهال سیمهای دروازې ته اشاره کوونکې اصلي لاره یا پراخه مخکښه نښه هغه نښه ده چې څېړنې ته ارزښت لري، او پرته له هر ډول بریدي ترافیک څخه لیدل کیږي۔
ip route show table all
ip route get 203.0.113.55
nmcli -g ipv4.ignore-auto-routes con show "Wired connection 1"وروستی ترتیب په پای دستګاه کې هغه کنټرول دی چې ډېری کلاینټونه او پلیټفارمونه په یوه بڼه وړاندې کوي: هغه لارې له پامه غورځول چې شبکه برابروي۔ د لارو اتوماتیک منل بندول یوه معامله ده، ځکه چې د کارپوریټ DHCP سرور څخه قانوني ووېشل شوې لارښوونه هم بندوي، نو دا د شبکې طبقې له مخې پرېکړه کړئ نه نړیواله۔
پنځم ګام: خبرتیا له اوسني جوړښت څخه بېله کړئ
خپاره شوی برید هغه چلند بیانوي چې په ټاکل شویو کلاینټ نسخو کې په ټاکلي وخت کې لیدل شوی۔ دا ثابتوي نه چې ستاسو مخې ته لپ ټاپ اغېزمن دی، او نه ثابتوي چې سم شوی دی۔ دواړه ادعاوې ریښتینی جوړښت شمېره او د پلورونکي اوسنی خبرتیا ته اړتیا لري۔
د کلاینټ نسخه، پلیټفارم، هغه پروفایل ترتیبات چې پورتنۍ استثناوې کنټرولوي او هغه نېټه چې کتنه مو کړې ثبت کړئ۔ هغه ریکارډ په رښتینې توګه زوړ کیږي، خو هغه یادښت چې وایي VPN د TunnelCrack لپاره پیچ شو په رښتینې توګه زوړ نه کیږي۔ هرکله چې کلاینټ نوی شي بیا یې ولولئ، ځکه چې د پروفایل اصلي ارزښت ممکن هغه نسخه کې بدل شي چې تاسو نه یې لمس کړې۔
کله چې واقعاً تصدیق کوئ، منل شوې پلان خپلې پای دستګاه او یو بېزیانه مقصد په وړاندې وکاروئ۔ په شریکه شبکه کې د نورو کاروونکو په وړاندې برید تکرارول ازموینه نه ده، او د کتنې اسانه کولو لپاره د همګرو تصدیق یا د اپلیکیشن کوډګري بندول هغه ساتنه لیرې کوي چې تاسو یې د اندازه کولو هڅه کوله۔
په پای کې، د اپلیکیشن کچې ساتنه په انځور کې وساتئ۔ د لارښوونې استثنا کولای شي هغه ترافیک افشا کړي چې تونل به یې وړونکی و، او د اپلیکیشن TLS لا هم هغه ترافیک له سره تر سره ساتي۔ دواړه طبقې په خپلواکه توګه ناکامېږي، له همدې کبله تړل شوی کنټرول چینل دا ثبوت نه دی چې هر بهیر ټاکلې لار ونیوله۔